Όταν οι μπάτσοι χακάρουν πίσω: Η ολλανδική αστυνομία εξαφανίζει εγκληματίες DEADBOLT (νόμιμα!)

Δυστυχώς, χρειάστηκε να καλύψουμε το DEADBOLT ransomware πολλές φορές πριν στη Γυμνή Ασφάλεια.

Εδώ και σχεδόν δύο χρόνια, αυτός ο εξειδικευμένος παίκτης στη σκηνή του εγκλήματος στον κυβερνοχώρο λυτρώνει κυρίως οικιακούς χρήστες και μικρές επιχειρήσεις με πολύ διαφορετικό τρόπο από τις περισσότερες σύγχρονες επιθέσεις ransomware:

Αν ασχοληθήκατε με την ασφάλεια στον κυβερνοχώρο πριν από περίπου δέκα χρόνια, όταν το ransomware άρχισε για πρώτη φορά να γίνεται ένας τεράστιος παράγοντας άντλησης χρημάτων για τον κυβερνοχώρο, θα θυμάστε χωρίς καθόλου αγάπη τις «μεγάλες επωνυμίες» του ransomware τότε: CryptoLocker, Locky, TeslaCrypt, Και πολλά άλλα.

Συνήθως, οι πρώτοι παίκτες στο έγκλημα του ransomware βασίζονταν στην απαίτηση-σχεδόν προσιτές-αν-παραλείψατε-να πάτε στην παμπ-για-ένα-μήνα-ή-τρεις πληρωμές εκβιασμού από τόσα άτομα. θα μπορούσε.

Σε αντίθεση με τους απατεώνες του σημερινού πρωταθλήματος ransomware, τους οποίους θα μπορούσατε να συνοψίσετε ως «Στόχος να εκβιάσετε εταιρείες για εκατομμύρια δολάρια εκατοντάδες φορές», οι πρώτοι παίκτες ακολούθησαν μια πιο προσανατολισμένη στους καταναλωτές διαδρομή «Εκβιασμός εκατομμυρίων ανθρώπων για 300 δολάρια το καθένα» (ή 600 $ ή 1000 $ - τα ποσά διέφεραν).

Η ιδέα ήταν απλή: ανακατεύοντας τα αρχεία σας εκεί στον δικό σας φορητό υπολογιστή, οι απατεώνες δεν χρειαζόταν να ανησυχούν για το εύρος ζώνης μεταφόρτωσης στο Διαδίκτυο και να προσπαθούν να κλέψουν όλα τα αρχεία σας για να μπορέσουν να σας τα πουλήσουν πίσω αργότερα.

Θα μπορούσαν να αφήσουν όλα τα αρχεία σας μπροστά σας, προφανώς σε κοινή θέα, αλλά εντελώς άχρηστα.

Αν προσπαθήσατε να ανοίξετε ένα κωδικοποιημένο έγγραφο με τον επεξεργαστή κειμένου σας, για παράδειγμα, θα βλέπατε είτε άχρηστες σελίδες γεμάτες ψηφιακό τεμαχισμένο λάχανο είτε ένα αναδυόμενο μήνυμα που ζητούσε συγγνώμη ότι η εφαρμογή δεν αναγνώριζε τον τύπο αρχείου και δεν μπορούσε να ανοίξει το καθόλου.

Ο υπολογιστής λειτουργεί, τα δεδομένα όχι

Συνήθως, οι απατεώνες έκαναν τα πάντα για να αφήσουν το λειτουργικό σας σύστημα και τις εφαρμογές σας ανέπαφα, εστιάζοντας στα δεδομένα σας.

Στην πραγματικότητα δεν ήθελαν να σταματήσει να λειτουργεί εντελώς ο υπολογιστής σας, για πολλούς σημαντικούς λόγους.

Πρώτον, ήθελαν να δείτε και να νιώσετε τον πόνο για το πόσο κοντά αλλά και τόσο μακριά ήταν τα πολύτιμα αρχεία σας: φωτογραφίες του γάμου σας, βίντεο μωρών, φορολογικές δηλώσεις, πανεπιστημιακές σπουδές, εισπρακτέους λογαριασμούς, πληρωτέους λογαριασμούς και όλα τα άλλα ψηφιακά δεδομένα που έχετε Ήθελα να δημιουργήσω αντίγραφα ασφαλείας για μήνες, αλλά δεν το είχα καταφέρει ακόμα.

Δεύτερον, ήθελαν να δείτε το εκβιαστικό σημείωμα που είχαν αφήσει ΜΕ ΤΕΡΑΣΤΙΑ ΓΡΑΜΜΑΤΑ ΜΕ ΔΡΑΜΑΤΙΚΕΣ ΕΙΚΟΝΕΣ, εγκατεστημένο ως ταπετσαρία της επιφάνειας εργασίας σας για να μην το χάσετε, με οδηγίες για το πώς να αποκτήσετε τα κρυπτονομίσματα που θα έπρεπε να αγοράσετε ξανά το κλειδί αποκρυπτογράφησης για την αποκωδικοποίηση των δεδομένων σας.

Τρίτον, ήθελαν να βεβαιωθούν ότι θα μπορούσατε ακόμα να συνδεθείτε στο πρόγραμμα περιήγησής σας, πρώτα για να πραγματοποιήσετε μια μάταιη αναζήτηση για το "πώς να ανακτήσετε από το XYZ ransomware χωρίς να πληρώσετε" και στη συνέχεια, καθώς η απελπισία και η απελπισία έρχονταν, για να πιάσετε έναν φίλο ήξερες ότι θα μπορούσε να σε βοηθήσει με το κομμάτι των κρυπτονομισμάτων της επιχείρησης διάσωσης.

Δυστυχώς, οι πρώτοι παίκτες αυτής της απεχθούς εγκληματικής πλοκής, ιδίως η συμμορία CryptoLocker, αποδείχθηκαν αρκετά αξιόπιστοι στο να απαντούν γρήγορα και με ακρίβεια στα θύματα που πλήρωσαν, κερδίζοντας ένα είδος φήμης «τιμής μεταξύ των κλεφτών».

Αυτό φάνηκε να πείθει τα νέα θύματα ότι, παρ' όλο που η πληρωμή τους έκαψε μια τεράστια τρύπα στα οικονομικά τους για το εγγύς μέλλον, και ότι ήταν λίγο σαν να έκαναν μια συμφωνία με τον διάβολο, πολύ πιθανόν θα έπαιρναν τα δεδομένα τους πίσω.

Αντίθετα, οι σύγχρονες επιθέσεις ransomware στοχεύουν συνήθως στο να θέσουν επί τόπου όλους τους υπολογιστές ολόκληρων εταιρειών (ή σχολεία, ή νοσοκομεία, ή δήμους ή φιλανθρωπικά ιδρύματα). Αλλά η δημιουργία εργαλείων αποκρυπτογράφησης που λειτουργούν αξιόπιστα σε ένα ολόκληρο δίκτυο είναι μια εκπληκτικά δύσκολη εργασία μηχανικής λογισμικού. Στην πραγματικότητα, η επιστροφή των δεδομένων σας βασιζόμενη στους απατεώνες είναι μια επικίνδυνη επιχείρηση. Στο 2021 Sophos Ransomware Survey, το 1/2 των θυμάτων που πλήρωσαν έχασαν τουλάχιστον το 1/3 των δεδομένων τους και το 4% από αυτά δεν έλαβε πίσω τίποτα. σε 2022, διαπιστώσαμε ότι τα μισά της διαδρομής ήταν ακόμη χειρότερα, με το 1/2 από αυτούς που πλήρωσαν να χάσουν το 40% ή περισσότερο από τα δεδομένα τους και μόνο το 4% από αυτούς να λάβουν πίσω όλα τα δεδομένα τους. Στο διαβόητο Αποικιακός αγωγός επίθεση ransomware, η εταιρεία είπε ότι δεν επρόκειτο να πληρώσει, και στη συνέχεια διοχέτευσε περιβόητα πάνω από 4,400,000 $ ούτως ή άλλως, μόνο για να διαπιστώσει ότι το εργαλείο αποκρυπτογράφησης που παρείχαν οι εγκληματίες ήταν πολύ αργό για να χρησιμοποιηθεί. Έτσι κατέληξαν με όλα τα έξοδα ανάκτησης που θα είχαν αν δεν είχαν πληρώσει τους απατεώνες, συν ένα εξερχόμενο ποσό 4.4 εκατομμυρίων δολαρίων που ήταν εξίσου καλό με το ξέπλυμα της αποχέτευσης. (Περίεργα, και προφανώς λόγω της κακής επιχειρησιακής ασφάλειας στον κυβερνοχώρο από τους εγκληματίες, η Το FBI τελικά ανακτήθηκε περίπου το 85% των bitcoin που πληρώνει η Colonial. Μην βασίζεστε σε τέτοιου είδους αποτελέσματα, ωστόσο: τέτοια μεγάλης κλίμακας clawback είναι μια σπάνια εξαίρεση, όχι ο κανόνας.)

Μια προσοδοφόρα θέση

Οι απατεώνες του DEADBOLT, φαίνεται, βρήκαν α προσοδοφόρα θέση δικά τους, με αποτέλεσμα να μην χρειάζεται να εισχωρήσουν στο δίκτυό σας και να εργαστούν σε όλους τους υπολογιστές σε αυτό και δεν χρειάζεται καν να ανησυχούν για το κακόβουλο λογισμικό στον φορητό υπολογιστή σας ή σε οποιονδήποτε από τους κανονικούς υπολογιστές του νοικοκυριό, γραφείο ή και τα δύο.

Αντίθετα, χρησιμοποιούν παγκόσμιες σαρώσεις δικτύου για να εντοπίσουν μη επιδιορθωμένες συσκευές NAS (Δικτυακός Αποθηκευτικός Χώρος), συνήθως από τον μεγάλο προμηθευτή QNAP και ανακατεύετε απευθείας τα πάντα στη συσκευή διακομιστή αρχείων σας, χωρίς να αγγίξετε οτιδήποτε άλλο στο δίκτυό σας.

Η ιδέα είναι ότι εάν χρησιμοποιείτε το NAS σας όπως κάνουν οι περισσότεροι άνθρωποι στο σπίτι ή σε μια μικρή επιχείρηση – για αντίγραφα ασφαλείας και ως πρωταρχικό χώρο αποθήκευσης για μεγάλα αρχεία όπως μουσική, βίντεο και εικόνες – τότε η απώλεια πρόσβασης σε οτιδήποτε στο NAS σας είναι πιθανό να είναι τουλάχιστον τόσο καταστροφικό όσο η απώλεια όλων των αρχείων σε όλους τους φορητούς και επιτραπέζιους υπολογιστές σας, ή ίσως ακόμη χειρότερα.

Επειδή πιθανότατα αφήνετε τη συσκευή NAS ανοιχτή όλη την ώρα, οι απατεώνες μπορούν να εισβάλουν όποτε θέλουν, ακόμη και όταν είναι πιο πιθανό να κοιμάστε. Χρειάζεται να επιτεθούν μόνο σε μία συσκευή. δεν χρειάζεται να ανησυχούν αν χρησιμοποιείτε υπολογιστές Windows ή Mac…

…και εκμεταλλευόμενοι ένα μη επιδιορθωμένο σφάλμα στην ίδια τη συσκευή, δεν χρειάζεται να ξεγελάσουν εσάς ή οποιονδήποτε άλλο στο δίκτυό σας για να κατεβάσουν ένα ύποπτο αρχείο ή να κάνουν κλικ σε έναν αμφίβολο ιστότοπο για να αποκτήσουν την αρχική τους βάση.

Οι απατεώνες δεν χρειάζεται καν να ανησυχούν μήπως σας λάβουν ένα μήνυμα μέσω email ή την ταπετσαρία της επιφάνειας εργασίας σας: ξαναγράφουν με δόλιο τρόπο τη σελίδα σύνδεσης στη διεπαφή ιστού της συσκευής NAS, οπότε μόλις προσπαθήσετε να συνδεθείτε, ίσως για να μάθετε γιατί όλα τα αρχεία σας είναι μπερδεμένα, αντιμετωπίζετε μια απαίτηση εκβιασμού.

Ακόμη πιο κρυφά, οι απατεώνες του DEADBOLT έχουν βρει έναν τρόπο να σας αντιμετωπίσουν που αποφεύγει οποιαδήποτε αλληλογραφία μέσω email (πιθανώς ανιχνεύσιμη), δεν απαιτεί σκοτεινούς διακομιστές ιστού (δυνητικά περίπλοκη) και παρακάμπτει κάθε διαπραγμάτευση: είναι ο δικός τους τρόπος ή ο αυτοκινητόδρομος δεδομένων.

Με απλά λόγια, σε κάθε θύμα παρουσιάζεται μια μεμονωμένη διεύθυνση Bitcoin στην οποία του λένε να στείλει BTC 0.03 (επί του παρόντος [2022-10-21] λίγο κάτω από $600):

Η ίδια η συναλλαγή λειτουργεί τόσο ως μήνυμα («Αποφάσισα να πληρώσω»), όσο και ως η ίδια η πληρωμή («και εδώ είναι τα κεφάλαια»).

Στη συνέχεια, οι απατεώνες σας στέλνουν 0 $ σε αντάλλαγμα – μια συναλλαγή που δεν έχει οικονομικό σκοπό, αλλά περιέχει ένα σχόλιο 32 χαρακτήρων. (Οι συναλλαγές με Bitcoin μπορεί να περιέχουν πρόσθετα δεδομένα στο πεδίο που είναι γνωστό ως OP_RETURN που δεν μεταφέρει χρήματα, αλλά μπορεί να χρησιμοποιηθεί για να συμπεριλάβει σχόλια ή σημειώσεις.)

Αυτοί οι 32 χαρακτήρες είναι δεκαεξαδικά ψηφία που αντιπροσωπεύουν ένα κλειδί αποκρυπτογράφησης AES 16 byte που είναι μοναδικό για την κωδικοποιημένη συσκευή NAS σας.

Επικολλάτε τον δεκαεξαδικό κώδικα από τη συναλλαγή BTC στη "σελίδα σύνδεσης" του ransomware και η διαδικασία ενεργοποιεί ένα πρόγραμμα αποκρυπτογράφησης που άφησαν πίσω τους οι απατεώνες, το οποίο αποκωδικοποιεί (ελπίζετε!) όλα τα δεδομένα σας.

Καλεσε την αστυνομια!

Αλλά εδώ είναι μια συναρπαστική ανατροπή σε αυτή την ιστορία.

Η ολλανδική αστυνομία, σε συνεργασία με μια εταιρεία με εξειδίκευση στα κρυπτονομίσματα, κατέληξε σε ένα ύπουλο δικό τους κόλπο για να αντιμετωπιστεί η ύπουλη συμπεριφορά των εγκληματιών DEADBOLT.

Παρατήρησαν ότι αν ένα θύμα έστελνε μια πληρωμή Bitcoin για να αγοράσει πίσω το κλειδί αποκρυπτογράφησης, οι απατεώνες απάντησαν προφανώς με το κλειδί αποκρυπτογράφησης μόλις η συναλλαγή πληρωμής BTC χτύπησε το δίκτυο Bitcoin αναζητώντας κάποιον να το «εξορύσει»…

…αντί να περιμένουμε έως ότου κάποιος στο οικοσύστημα του Bitcoin ανέφερε ότι είχε πράγματι εξόρυξει τη συναλλαγή και έτσι την επιβεβαίωσε για πρώτη φορά.

Με άλλα λόγια, για να χρησιμοποιήσουμε μια αναλογία, οι απατεώνες σάς αφήνουν να βγείτε από το κατάστημά τους με το προϊόν προτού περιμένετε να ολοκληρωθεί η πληρωμή με πιστωτική κάρτα.

Και παρόλο που δεν μπορείτε να ακυρώσετε ρητά μια συναλλαγή BTC, μπορείτε να στείλετε δύο αντικρουόμενες πληρωμές ταυτόχρονα (αυτό που στην ορολογία είναι γνωστό ως "διπλή δαπάνη"), αρκεί να είστε χαρούμενοι που η πρώτη θα λάβει συλλέγεται, εξορύσσεται και «επιβεβαιώνεται» είναι αυτό που θα περάσει και τελικά θα γίνει αποδεκτό από το blockchain.

Η άλλη συναλλαγή θα απορριφθεί τελικά, επειδή το Bitcoin δεν επιτρέπει διπλές δαπάνες. (Εάν το έκανε, το σύστημα δεν θα μπορούσε να λειτουργήσει.)

Χαλαρά μιλώντας, μόλις οι εξορύκτες Bitcoin δουν ότι μια συναλλαγή που δεν έχει υποβληθεί ακόμη σε επεξεργασία περιλαμβάνει κεφάλαια που κάποιος άλλος έχει ήδη «εξορύσει», απλώς σταματούν να εργάζονται στην ημιτελή συναλλαγή, με το σκεπτικό ότι είναι πλέον άχρηστη για αυτούς.

Δεν υπάρχει κανένας αλτρουισμός εδώ: σε τελική ανάλυση, εάν η πλειοψηφία του δικτύου έχει ήδη αποφασίσει να αποδεχθεί την άλλη συναλλαγή και να την ενσωματώσει στο blockchain ως «αυτή που η κοινότητα αποδέχεται ως έγκυρη», η αντικρουόμενη συναλλαγή που δεν έχει πάει ακόμα είναι χειρότερο από άχρηστο για εξορυκτικούς σκοπούς.

Αν συνεχίσετε να προσπαθείτε να επεξεργαστείτε τη συναλλαγή που βρίσκεται σε διένεξη, τότε ακόμα κι αν την κάνετε επιτυχώς «εξορκίστε» στο τέλος, κανείς δεν θα δεχτεί την επιβεβαίωσή σας στο δεύτερο παρελθόν, γιατί δεν υπάρχει τίποτα για να το κάνει…

…έτσι γνωρίζετε εκ των προτέρων ότι δεν θα λάβετε ποτέ χρεώσεις συναλλαγών ή μπόνους Bitcoin για την περιττή εργασία εξόρυξης, και έτσι γνωρίζετε εκ των προτέρων ότι δεν υπάρχει λόγος να σπαταλάτε χρόνο ή ηλεκτρική ενέργεια σε αυτήν.

Εφόσον κανένα άτομο (ή ομάδα εξόρυξης, ή καρτέλ δεξαμενών εξόρυξης) δεν ελέγχει ποτέ περισσότερο από το 50% του δικτύου Bitcoin, κανείς δεν θα πρέπει ποτέ να είναι σε θέση να έχει αρκετό χρόνο και ενέργεια για να «αποεπιβεβαιώσει» ένα ήδη αποδεκτό συναλλαγή δημιουργώντας μια νέα αλυσίδα επιβεβαιώσεων που ξεπερνά όλες τις υπάρχουσες.

Προσφέρετε περισσότερα χρήματα…

Δεδομένου ότι μόλις αναφέραμε τέλη συναλλαγών, μπορείτε πιθανώς να δείτε πού πηγαίνει αυτό.

Όταν ένας εξορύκτης επιβεβαιώσει επιτυχώς μια συναλλαγή που τελικά γίνεται αποδεκτή στο blockchain (στην πραγματικότητα, μια δέσμη συναλλαγών), λαμβάνει μια ανταμοιβή σε bitcoins που έχουν κοπεί πρόσφατα (επί του παρόντος, το ποσό είναι 6.25 BTC), συν όλες τις χρεώσεις που προσφέρονται για κάθε συναλλαγή στο πακέτο.

Με άλλα λόγια, μπορείτε να παροτρύνετε τους εξορύκτες να δώσουν προτεραιότητα στη συναλλαγή σας προσφέροντάς σας να πληρώσετε λίγο περισσότερα τέλη συναλλαγής από όλους τους άλλους…

…ή αν δεν βιάζεστε, μπορείτε να προσφέρετε χαμηλή χρέωση συναλλαγής και να λάβετε πιο αργή εξυπηρέτηση από την κοινότητα εξόρυξης.

Στην πραγματικότητα, αν πραγματικά δεν σας ενδιαφέρει πόσος χρόνος θα χρειαστεί, μπορείτε να προσφερθείτε να πληρώσετε μηδέν bitcoin ως χρέωση συναλλαγής.

Αυτό που έκαναν οι Ολλανδοί αστυνομικοί για 155 θύματα από 13 διαφορετικές χώρες που είχαν ζητήσει βοήθεια για να πάρουν πίσω τα δεδομένα τους.

Έστειλαν 155 πληρωμές από τη δική τους επιλογή διευθύνσεων BTC στους απατεώνες, προσφέροντας όλες να πληρώσουν μηδενικά τέλη συναλλαγής.

Οι απατεώνες, βασιζόμενοι προφανώς σε μια αυτόματη διαδικασία, έστειλαν αμέσως πίσω τα κλειδιά αποκρυπτογράφησης.

Μόλις οι αστυνομικοί είχαν κάθε κλειδί αποκρυπτογράφησης, έστειλαν αμέσως μια συναλλαγή «διπλής δαπάνης»…

…αυτή τη φορά με μια δελεαστική αμοιβή που προσφέρεται ως αντάλλαγμα για την πληρωμή των ίδιων κεφαλαίων που προσέφεραν αρχικά στους απατεώνες πίσω στον εαυτό τους!

Μαντέψτε ποιες συναλλαγές τράβηξαν πρώτα την προσοχή των ανθρακωρύχων; Μαντέψτε ποιες επιβεβαιώθηκαν; Μαντέψτε ποιες συναλλαγές απέτυχαν;

Οι προτεινόμενες πληρωμές στους εγκληματίες έπεσαν σαν καυτές πατάτες από την κοινότητα του Bitcoin, πριν οι απατεώνες πληρώθηκαν, αλλά μετά είχαν αποκαλύψει τα κλειδιά αποκρυπτογράφησης.

Αποτέλεσμα εφάπαξ

Θαυμάσια νέα…

…εκτός φυσικά από το ότι αυτή η παγίδα (δεν είναι κόλπο αν γίνει νόμιμα!) δεν θα λειτουργήσει ξανά.

Δυστυχώς, το μόνο που έχουν να κάνουν οι απατεώνες στο μέλλον είναι να περιμένουν μέχρι να δουν τις πληρωμές τους να επιβεβαιώνονται πριν απαντήσουν με τα κλειδιά αποκρυπτογράφησης, αντί να ενεργοποιούνται αμέσως με την πρώτη εμφάνιση κάθε αιτήματος συναλλαγής.

Παρόλα αυτά οι μπάτσοι ξεπέρασε τους απατεώνες αυτή τη φορά, και 155 άτομα πήραν τα δεδομένα τους χωρίς τίποτα.

Ή τουλάχιστον για σχεδόν τίποτα – υπάρχει το μικρό θέμα των προμηθειών συναλλαγής που ήταν απαραίτητες για να λειτουργήσει το σχέδιο, αν και τουλάχιστον κανένα από αυτά τα χρήματα δεν πήγε απευθείας στους απατεώνες. (Τα τέλη πηγαίνουν στους ανθρακωρύχους κάθε συναλλαγής.)

Μπορεί να είναι ένα σχετικά μέτριο αποτέλεσμα και μπορεί να είναι μια μοναδική νίκη, αλλά το επικροτούμε παρόλα αυτά!

---

Λίγος χρόνος ή τεχνογνωσία για την αντιμετώπιση των απειλών στον κυβερνοχώρο; Ανησυχείτε ότι η κυβερνοασφάλεια θα καταλήξει να σας αποσπά την προσοχή από όλα τα άλλα πράγματα που πρέπει να κάνετε;

Μάθετε περισσότερα σχετικά με Sophos Managed Detection and Response:
Κυνήγι, ανίχνευση και απόκριση απειλών 24/7  ▶

---